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Abstract (Basic): DE 19529434 A 



The safety critical system employs duplicated microprocessor 
systems [MC1,MC2] that have processors [1,2] and operate on the same 
data and use the same programs. Each has read-only memories (ROM) [5,10 
and write-read memories (RAM) [6,1 1]. The output of the processors is 
received by external comparators [18,19] and if the data is not in 
agreement shutdown is signalled. Each of the controllers has a separate 
bus system [3,4] coupled to drive stages [15-17]. 

USE/ADVANTAGE - Automotive systems. Provides protection against 
processing faults 
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@ Microprozessorsyatem fur sicherheitskritische Regelungen 

@ EIn MIkroprozessorsystem fOr sicherheitskritische Rege- 
lungen umfaftt zwei synchron betriabena Zentraletnheiten (1, 
2), die die gteichen Eingangsdaten arhaltan und das glaiche 
Programm abarbaiten. auSardam Faatwartspalchar (6« 10) 
und Schraib-Lasa-Spelcher (0, 11) fur Nutzdatan und Prufda- 
tan und aufierdam Varglalchar (16» 19). did dia Ausgangssi- 
gnala dar Zentralainheiten (1, 2) ubarprufan und bai Nicht- 
Obareinstimmung Abschaltslgnala abgeban. Dia Zantralain- 
haltan (1* 2) sind Qbar saparata Busaystama (3. 4) an die 
Spelcher sowla an die Elngaba- und Ausgabeainhaiten 
angaschlossen und durch Traibaretufen (15-17) gakoppeit 
dia dan Zantralalnheiten (1, 2) ein gameinaames Lasan und 
Abarbaitan dar in baidan Bussyatemen (3. 4) zur VerfOgung 
stahandan Datan ermdgllchan. 
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Beschreibung Bin Microprozessorsystem der eingangs genannten 

Art ist auch bereits aus der DE 43 41 082 AI bekannt Es 

Die Erfindung bezieht sich auf ein fOr sicherheitskriti- ist insbesondere an die Anwendung filr das Regelungs- 

sche Regelungssysteme v rgesehenes Micropr zessor- system einer blockiergeschutzten Bremsanlage gedacht 

system, das zwei synchron betriebene Zentraleinheiten 5 Diese bekannte System, das auf einem einzigen Chip 

Oder CPU's enthalt, die die gleichen Eingangsinforma- untergebracht werden kami, enthalt zwei Zentraleinhei- 

tionen erhalten und das gleiche Programm abarbeiten, ten bzw. CPU's, in denen die Eingangsdaten parallel 

die mit Festwertspeichem (ROM) und Schreib-Lese- verarbeitet werden. Die Festwert- und die Schreib-Le- 

Spelchem (RAM) und mit Speicherplitzen fOr Priifm- se-Speicher, an die beide Zentraleinheiten angeschlos- 

formationen und mit PrOlinformationsgeneratoren aus- 10 sen sind, enthalten zus&tzliche Speicherplitze ffir Priif- 

gerOstet sind und die auBerdem Vergleicher enthalten, infonnationen und umfassen jeweils einen Generator 

die die Ausgangsinformation der Zentraleinheiten fiber- zur Erzeugung von PrOfinfonnationea Die Ausgangssi- 

prQfen und bei Nicht-Obereinstimmung Abschaltsignale gnale eines der beiden Zentraleinheiten werden zur Er- 

abgeben. zeugung der Steuersignale weiterverarbeitet, wahrend 

Zu den sicherheitskritischen Regelungssystemen ge- 15 die andere, die "passive" Zentraleinheit, lediglich zur 

haren beispielsweise die in die Bremsenfunktion ein- Oberwachimg der "aktiven" Zentraleinheit, dientDurch 

greifenden Kraftf ahrzeug-Regelungssysteme, von de- den Verzicht auf die Verdoppelung der Speicher dieses 

nen insbesondere die Blockierschutzregelungen oder Systems, unter Inkaufhahme einer relativ geringfOgigen 

Antiblockiersysteme (ABS) und die Antriebsschlupfre- Erweiterung der Speicher zur Aufnahme der PrOfmfor- 

gelungssysteme (ASR, TCS, eta) m vielen Varianten auf 20 mationen, wird eine erhebliche Verringerung des Her- 

dem Markt sind und groBe Bedeutung besitzea Fahr- steilungsaufwandes ohne EinbuBen an die Fehierer- 

stabiiitatsregelungssysteme (FSR, ASMS), Fahrwerks- kennbarkeiterreicht 

regelungssysteme usw. sind ebenf alls sicherheitskritisch, Der Erfindung lie^ ebenfalls die Aufgabe zugrunde, 

well sie ai^ Bremseneingriff beruhen oder well bei ih- ein Microprozessorsystem so entwickeln, daB mit der 

rem Versagen auf andere Wdse die Fahrstabilitit des 25 ^uBerst hohen Wahrscheinlichkeit und ZuverlSssigkeit, 

Fahrzeug5leidenkann.Esistdaherunbedingterforder- die fOr sicherheitskritische Anwendungen gefordert 

lich, die Funktionsf^igkeit solcher Systeme st&ndig zu wird, Fehlfunktionen des Systems erkennt und signali- 

Qberwachen,umbeunAuftreten eines Fehlers die Rege- siert Gleichzeitig sollte ein vergleichsweise geringer 

lung abschalten oder in einen fur die Sicherheit weniger Herstellungsaufwand fOr ein solche Microprozessorsy- 

gef^lichen Zustand umschalten zu kdnnen. 30 stem genugen. 

Ein Beispiel filr eine Schaltungsanordnung oder ein Es hat sich herausgestellt, daB diese Aufgabe mit den 

Microprozessorsystem zur Steuerung und Oberwa- im beigefugten Anspruch 1 beschriebenen System ge- 

chung einer blockiergeschutzten Fahrzeugbremsanlage Idst werden kann, dessen Besonderheit darin besteht, 

ist aus der DE 32 34 637 C2 bekannt Nach dieser Schrift daB die Zentraleinheiten bzw. CPU's Ober separate Bus- 

werden die Eingangsdaten zwei identischprogrammier- 35 systeme an die Festwert- und an die Schreib-Lese-Spei- 

ten Microcomputem parallel zugefllhrt und dort syn- cher sowie an Eingabe- und an Ausgabeeinheiten ange- 

chron verarbeitet Die Ausgangssignale und Zwischen- schlossen sind und daB die Bussysteme untereinander 

signale der beiden Microcomputem werden mit Hilfe durchTreiberstufenverbunden bzw. gekoppelt sind, die 

von redundanten Ver^eichem auf Oberelnstimmung den beiden Zentraleinheiten ein gemeinsamen Lesen 

geprOftWenn die Signale voneinanderabweichen, wird 40 und Abarbeiten der anstehenden, db. in den beiden 

aber eine ebenfalls r^undantausgelegteSchaltung eine Bussystemen zur VerfQgung stehenden Daten ein- 

Abschaltung der Regelung herbeigeflihrt Bei dieser be- schlieBIich der PrQfdaten und Befehle, ermdglichea Die 

kannten Schaltung (Sent einer der beiden Microcompu- auf den beiden Bussystemen anstehenden Eingans- und 

ter zur Erzeugung der Bremsdrucksteuersignale, der an- Ausgangsdaten der beiden Zentraleinheiten, einschlieB- 

dere zur Bildung der Prufsignale. Bei diesem symme- 45 lich der PrQfdaten und Befehle werden von dem oder 

trisch aufgebauten Microprozessorsystem sind also den Vergleichem des erfindungsgemaBen Systems auf 

zwei vollstandige Microcomputer, einschlieBlich der zu- Oberelnstimmung uberprOft 

gehdrigen Festwert- und Schreib-Lese-Speicher, erfor- In den Unteranspruchen smd noch einige vorteilhafte 

derlich. AusfQhrungsbeispiele der Erfindung beschrieben. 

Nach einem anderenbekannten System, nach dem die 50 Das erfindungsgemaBe Microprozessorsystem ba- 
in der DE 41 37 124 Al beschriebene Schaltung aufge- siert auf der Verwendung von zwei gleichberechtigten, 
baut ist, werden die Eingangsdaten ebenfalls zwei Mi- voUredundant betriebenen Rechnerkemen bzw. Zen- 
crocomputem parallel zugefdhrt von denen jedoch nur traleinheiten, die gemeinsam die fiber zwei separate 
einer die vollstlndige, aufwendige Signalverarbeitung Bussysteme zugeffihrten Daten redundant verarbeiten. 
ausfuhrt Der zweite Microcomputer dient vornehmlich 55 Mit Hilfe eines einfachen Hardware-Vergleichers, dem 
zur Oberwachung, weshalb die Eingangssignale nach aus SicherheitsgrOnden ein zweiter Vergleicher paral- 
Aufbereitung, Bildung von zeitlichen Ableitungen eta lelgeschaltet ist, werden dann die Eingangs- und die 
mit Hilfe vereinfachter Regelalgorithmen und verein- Ausgangssignale beider Zentraleinheiten auf Oberein- 
fachter Regelphilosophie weiterverarbeitet werden stimmung verglichen. Die Speicher des erfindungsge- 
kSnnen. Die vereinfachte Datenverarbeitung reicht zur go mOBen Systems sind nur einmal vorhanden; es sind le- 
Erzeugung von Signalen aus, die durch Vergleich mit diglichzusatzlicheSpeicherpiatzefarPrUfdaten, die bei- 
den in dem aufwendigeren Micro-Computer verarbeite- spielsweise in Form von Paritatsbits vorliegen, vorgese- 
ten Signalen RUckschlOsse auf den ordnungsgemSBen hen. 

Betrieb des Systems zulassen. Durch die Verwendung Nach einem bevorzugten AusfQhrungsbeispiel ist an 

eines PrQf-Microcomputers geringerer Leistungsfahig- 65 einem der beiden Bussysteme ein voUstandiger Micro- 

keit laBt sich der Herstellungsaufwand im Vergleich zu prozessor bestehend aus Zentraleinheit, Festwert- und 

einem System mit zwei vollstandigen, aufwendigen Mi- Schreib-Lese-Speicher, Eingangs- imd Ausgangsstufe, 

crocomputemgleicherLeistungreduzieren. angeschlossen, wahrend das zweite Bussystem anstelle 
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der Festwert- und Schreib-Lese-Speicher nur mit ent- denen auch die Prflf- oder Redundanzinformationen 

sprechenden SpeicherplStzen fur Prufdaten direkt ver- und die Steuerbefehle gehoren. Die Eingangs- und die 

bunden ist Die beide Bussysteme koppelnden Treiber- Ausgangssignale der Rechner 1, 2 werden auf Oberein- 
stufen ermdgiichen jedoch beiden Zentraleinheiten das stimmung gepriift und uber die zugeh6rigen Bussyste- 
Lesen aller bendtigten, von den Nutzdaten-Speichern, 5 me3,4unddie Ausgabeeinheiten9, 14einersymbolisch 

den Prtifdatenspeichem und den Eingangsstufea gelie- dargesteilten Ventilansteuerung 20 zugeleitet Diese 
ferten Daten. Auf diese Weise entsteht eine besonders funktioniert wie folgt: 

einfache Struktur des erfindungsgemafien Microprozes- Beide Zentraleinheiten 1, 2 liefem fiber die Bussyste- 

sorsystems, die das Unterbringen aller Komponenten me 3, 4 identische Ausgangssignale zu den Ausgabeein- 

auf einem einzigen Qiip begiinstigt 10 heiten 9, 14. Im Weg zu einer der beiden Ausgabeeinhei- 

Weitere Merkmale, Vorteile und Anwendungsmdg- ten, hier im Weg zur Ausgabeeinheit 14, ist ein Inverter 

lichkeiten gehen aus der folgenden Beschreibung eines 22 eingefOgt Ober einen seriellen Bus 21 ist die Ventil- 

Ausfflhrungsbeispieis anhand der beigefOgten Abbil- ansteuerung 20 angeschlossen. Es sind in diesem Aus- 

dung hervor, die in schematisch vereinfachter Darstel- fOhrungsbeispiel zwei Ausgangsschieberegister 22, 23 

lung die wichtigsten Komponenten eines Microprozes- 15 vorgesehen, wobei dem zweiten Schieberegister 22 die 

sorsystemsnachderErfindungwiedergibt Daten invertiert zugefOhrt werden, urn KurzschlQsse 

Zur Erl&uterung des prinzipiellen Aufbaus und der zwischen den RechnemauszuschlieBea Ober ein UN£)- 

Wirkungsweise eines Microprozessorsystems nach der Gatter 24 mit einem invertierenden Eingang werden die 

Erfmdung dient die beigeffigte Abbildung. Es handelt in den Schieberegistem 22, 23 enthaltenen Daten auf 

sich in diesem Beispiel und ein Ein-Chip-Microcompu- 20 Obereinstimmung verglichen. Ist die UND-Bedingung, 

tersystem, das zwei synchron betriebene Zentraleinhei- die das Gatter 24 Qberwacht, nicht erfOUt, wird ein 

ten 1, 2, die auch als Rechner- oder Prozessorkeme oder Schalter 26 in der Stromversorgung filr die angesteuer- 

als CPU's bezeichnet werden, separate Bussysteme 3, 4 ten Ventile oder Aktuatoren 25 geoffnet und dadurch, 

(Bus 1, Bus 2) enthalt Der far beide Zentraleinheiten 1, 2 weil ein Fehler vorliegt, die Aktuatorbetfltigung abge- 

gemeinsame Takt wird Qber den AnschluB cl (common 25 schaltet 

clock) zugefuhrt Die Zentraleinheit 1 ist durch einen Die Schieberegister 22, 23 sind als Bestandteile der 

Festwertspeicher 5 (ROM), durch einen Schreib-Lese- Ausgangsstufen 9 bzw. 14 anzusehen. Es wird also unab- 

Speicher 6 (RAM) und durch Eingabe- oder Eingangs- hangig von den Vergleichern 18, 19 nochmals, in diesem 

stufen 7, 8 Peripherie 1, Port 1) und durch eine Ausga- Fall extern, die Obereinstimmung der Ausgangssignale 

be- Oder Ausgangsstufe 9 zu einem vollstSndigen Micro- 30 flberwachtlmFehlerfaU wird somitunabhangig von der 

computer MCI erg^nzt An das zweite Bussystem 4 (Bus Funktion der Zentraleinheiten 1, 2 die Ansteuerung der 

2) sind dagegen auBer der Zentraleinheit 2 lediglich Ventile 25 unterbunden. 

Prufdaten-Speicher 10, 11 tmd auBerdem Eingabe- oder ErfindungsgemaB wird also die Zentraleinheit, wozu 

Eingangsstufen 12, 13 und eine Ausgabestufe 14 ange- dieGesamtheitdesRechenwerkes undder Abiaufsteue- 

schlossen. Die Prilfdaten-Speicherplatze fOr die Daten 35 rung gehdrt, zur Absicherung der Rechenergebnisse 

im Festspeicher 5 sind in dem Speicher 10, die IWdaten und der richtigen Abarbeitimg der Programme doppelt 

fflr den Schreib-Lese-Speicher 6 im Speicher 11 unter- ausgefflhrt Der Datenbus wird jeweils um einen Gene- 

gebracht Das Ganze bildet einen ''abgemagerten*' Mi- rator fiir die Prufdaten bzw. fOr Redundanzinformation, 

crocomputer MC2. z. B. fOr Paritatsbits, erweitert Die Ausgangssignale der 

Die beiden Bussysteme 3, 4 (Bus 1, Bus 2) sind auBer* 40 beiden Zentraleinheiten, werden zur UberprOfung an 

dem, was er^dungswesentlich ist, durdi Treiberstufen die Hardware- Vergleicher (18, 19) geleitet Diese fiber- 

15, 16^ 17 gekoppelt, die es ermdgiichen, daB die ankom- prQfen de Identitat der Signale, einschlieBlich der Prfif- 

menden Daten von den beiden Zentraleinheiten 1, 2 signal^ und bewirken eine System-ABSCHALTUNG, 

gemeinsam gelesen werden kdnnen. Die Stufen IS bis 17 wenn die synchrone Abarbeitung der Progranune durch 

sind Treiber (oder ^suffer" mit Enable-Funktion). Die 45 <iie redundanten Zentraleinheiten voneinander abwei- 

Obertragungsrichtungen der Treiber 15 bis 17 sind chende Resultate ergebea 

dirch einen Pfeil symbolisch dargestellt; der Treiber 15 Die Ausgangssignale beider Zentraleinheiten sind 

dient zur Obertragung der Daten, die sich auf dem Bus- gleichberechtigt, d h. eine Ansteuerung von Speicher- 

system 3 (Bus l)befinden, zur Zentraleinheit 2, der Trei- einheiten (RAM, ROM) oder der "Peripherie" kann 

ber 16 zur Obertragung der Priifinfonnationen oder 50 durch eine der beiden Zentraleinheiten erfolgea 

•daten aus den Prtifdatenspeichem 10, 11 zur Zentral- Ober die Eingabeeinheiten 7, 12, die in der Abbildung 

einheit 1 und der Treiber 17 zur Obertragung der Daten als Peripherie 1 und Peripherie 2 bezeichnet sind, kdn- 

vonden Eingangsstufen 12; 13 des zweiten Bussystems 4 nen bei einem Kraftfahrzeugregelungssystem z. B. die 

(Bus 2) zur Zentraleinheit 1. Radsensoren, deren Ausgangssignale die wichtigsten 

Die Bussysteme 3, 4 umfassen jeweils einen Steuerbus 55 EingangsgrdBen des Regelungssystems sind, ange- 

"C, einen Datenbus "D" und eine Adress-Bus "A". Auf schlossen werden. Dabei ist es mdglich, die Sensorsi- 

dem Datenbus befinden sich auch die PrQfdaten "p". Die gnal-ZufOhrung wie dargestellt, auf die beiden Bussyste- 

Eingangs- und die Ausgangsdaten der Zentraleinheiten, me 3, 4 zu verteilen. Die Signalzufiihrung kann natOrlich 

die in einem Hardware- Vergleicher 18 und in einem auch redundant, nSmlich durch AnschluB aller Sensorsi- 

gleichartigen, auf dem gleichen Chip, drtlich getrennt so gnale an beide Bussysteme 3,4, ausgebildet werden. 

angeordneten Vergleicher 19 auf Obereinstimmung ge- Entsprechendes gilt fOr die ilber die Eingabestufen 8, 

priif t werden, sind daher in mit "CDpA"* bezeichnet 13 (Port 1, Port 2) zugefuhrten Informationen. Bei einem 

Im Gegensatz zu bekannten Systemen ist bei dem geregelten Bremsensystem werden tiber diese Eingabe- 

erfmdungsgemaSen Micropozessorsystem keine Unter- stufen beispielsweise der Bremslichtschalter und andere 

scheidung in einen aktiven und in einen passiven Rech- 55 Sensoren angeschlossen. 

ner mftglich. Die beiden Rechnerkeme oder Zentralein- Ein wichtiges Merkmai der Erfmdung ist darin zu 

heiten 1, 2 sind vielmehr gleichberechtigt Sie verarbei- sehen, daB — trotz der weitgehenden Redundanz und 

ten vollredundant die gemeinsam gelesenen Daten, zu 'Absicherung" des Datenverarbeitungsprozesses — der 
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Speicheraufwand relativ klein gehalten wird Die Fest- 
wert- und die Schreib-Lese-Speicher sind namlich, wie 
zuv r eriautert, lediglich fflr einen der beiden Micro- 
computer (MCI) vorgesehen, wahrend an den zweiten 
Micr computer (MC2) lediglich Speicherplatze (10, 11) 5 
for Prufdaten besitzt Die Treiberstufen 15, 16, 17 mit 
denen beid Bussysteme gekoppelt sind, stellen sicher, 
dafi dennoch im Datenverarbeitungsprozefi beiden 
Zentraleinheiten die gespeicherten Nutzdaten und Prfif- 
daten zur VerfQgung stelxen. 10 

Abweichend von dem dargestellten AusfOhningsbei- 
spiel kdnnen die Speicherplatze der Speicher 5, 6, 10, 1 1 
auch vdllig anders auf die beiden Bussysteme 3, 4 bzw. 
Microcomputer MCI, MC2 verteilt werden. Der insge- 
samt erforderiiche Speicherplatz wird dadurch nicht er- 15 
h5ht 

Zur Fehlererkennung beim Lesen und Schreiben der 
gespeicherten und abzuspeicbemden Daten werden die 
Prufdaten bzw. Paritatsbits herangezogen. Zu jeder 
Speicherzeile des Festwert- und des Schreib-Lese-Spei- 20 
chers ist unter der gleichen Adresse in den Speichem 10, 
1 1 des zweiten Microprozessors MC2, der nur Speicher- 
platze for die Prfifdaten enthalt, die Redundanzinforma- 
tion abgelegt FQr den Festwertspeicher wurde die PrOf- 
bzw. Redundanzinformation bereits wahrend der Pro- 25 
grammierung festgelegt Bei den Schreib-Lese-Spei- 
chem wird diese PrOf- bzw. Redundanzinformation 
beim Schreibvorgang generiert Analog zu dem Lese- 
vorgang der Daten und Befehle wird die PrOf- bzw. 
Redundanzinformation fiber die Treiberstufe 16, die die 30 
beiden Bussysteme 3, 4 koppelt, Qbertragen. Beim 
schreibenden Zugriff werden demnach die zu schreiben- 
den Daten um eine redundante Information erweitert, 
die mit den Daten gespeichert werden. Bei einem lesen- 
den Zugriff werden diese Daten und die zurflckgelesene 35 
redundante Information dann durch die Vergleicher 18^ 
19 auf GOldgkeit aberprOf t 

SoUen aus SicherheitsgrOnden Eingangsdaten redun- 
dant erfaBt und verarbeitet werden, werden die Ein- 
gangs- bzw. Eingabestufen (7, S, 12; 13) doppelt ausge- 40 
legt Diese Stufen kdnnen jeweils zum Tell im Adrefi- 
raum der einen und der anderen Zentraleinheit ange- 
ordnet werden. Daher ist eine Entkopplung der Peri- 
pherie-Elemente wie bei einem symmetrischen Micro- 
prozessorsystem gegeben. 45 

Die Ausgangssignale, insbesondere die Ansteuersi- 
gnale fOr die Ventilansteuerung 20, die doppelt ausge- 
legte Ausgabestufen enthalten, kdnnen ebenfalls jeweils 
zum Teil im AdreQraum der einen oder der anderen 
Zentraleinheit angeordnet werden. Folglich ist eine Ent- 50 
kopplung von Ausgangs-Peripherie-Elementen wie bei 
einem vollsymmetrischen Konzept gegeben. 

Um Fehier bei der Obertragung von Informationen 
Qber das Bussystem zu erkennen, ist dieses redundant in 
Form der Bussysteme 3 und 4 (Bus 1, Bus 4) ausgelegt 55 
Die von den beiden Zentraleinheiten 1, 2 abgegebenen, 
auf den Bussystemen anstehenden Signale werden 
durch die Vergleicher 18, 19 auf Obereinstimmung Qber- 
wacht 

Werden zur Erzeugung der Prufdaten oder Redun- eo 
danzdaten ParitStsgeneratoren verwendet, sind bei dem 
erfmdungsgemiBen System zwei Generatoren erfor- 
derlich, die z. B. in den Zentraleinheiten 1, 2 oder in den 
Vergleicbem 18, 19 untergebracht werden konnen. Bei 
einem schreibenden Zugriff auf die zus^tzlichen Spei- 65 
cherpiatze, die fOr den Schreib-Lese-Speicher zur Ver- 
fQgung stehen (Speicher llX wird die mit Hilfe des Re- 
dundanzgenerators in der Zentralemheit 2 erzeugte In- 



formation gespeichert Bei iesendem Zugriff auf die zu- 
satzlichen Speicherplatze fur die PrOfdaten im Fest- 
wert- Oder Schreib-Lese-Speicher wird die von dem Re- 
dundanzgenerator erzeugte Information mit der gelese- 
nen Redundanzinformation auf Obereinstimmung ver- 
glichen. 

Geeignete Redundanzgeneratoren lassen sich z. B. in 
bekannter Weise mit Hilfe von Exklusiv-ODER-Gat- 
temrealisierea 

PatentansprQche 

1. Microprozessorsystem fC&r sicherheitskritische 
Regelungen, mit zwei synchron betriebenen Zen- 
traleinheiten Oder CPU's, die die gleichen Ein- 
gangsinformationen erhalten und das gleiche Pro- 
gramm abarbeiten, mit Festwertspeichem (ROM) 
und Schreib-Lese-Speichem (RAM), mit Speicher- 
platzen for Prufdaten und mit Prufdatengenerato- 
ren, mit Vergleichem, die die Ausgangsdaten bzw. 
Ausgangssignale der Zentraleinheiten Qberpriifen 
und bei Nicht-Obereinstimmung Abschaltsignale 
abgeben, dadurch gekennzdchnet, daB die Zen- 
traleinheiten bzw. CPU's (1, 2) Ober separate Bussy- 
steme (3, 4) an die Festwert- und an die Schreib-Le- 
se-Speicher (5, 6^ 10, 11) sowie an Eingabe- und 
Ausgabeeinheiten (7, 8, 12, 13; 9, 14) angeschlossen 
sind und daB die Bussysteme (3» 4) untereinander 
durch Treiberstufen (15, 16, 17) verbunden sind, die 
den beiden Zentraleinheiten (1, 2) ein gemeinsames 
Lesen und Abarbeiten der anstehenden, d. h. in den 
beiden Bussystemen (3, 4) zur VerfQgung stehenden 
Daten, einschliefilich der PrOfdaten und Befehle, er-* 
mdglichen. 

2 Microprozessorsystem nach Anspruch 1, dadurch 
gekennzeichnet, dafi die Vergleicher (18^ 19) die auf 
den beiden Bussystemen (3, 4) anstehenden Ein- 
gangs- und Ausgangsdaten der beiden Zentralein- 
heiten (1, 2), einschliefilich der PrOfdaten und Be- 
fehle auf Obereinstimmung vergleichen. 

3. Microprozessorsystem nach Anspruch 1 oder 2, 
dadurch gekennzeichnet, daB die Speicherplatze 
der Festwertspeicher (5) und der Schreib-Lese- 
Speicher (6X einschlieBlich der Speicherpl&tze fOr 
die PrOfdaten (10, 11), auf die an die beiden Bussy- 
steme (3, 4) angeschlossenen Speicher (5, 6^ IQ, 11) 
verteilt sind. 

4. Microprozessorsystem nach Anspruch 3, dadurch 
gekennzeichnet, daB an einem Bussystem (3) die 
Festwert- und cMe Schreib-Lese-Speicher (5, 6) und 
an dem zweiten Bussystem (4) die zugehdrigen 
Prufwertspeicher(10t 11) angeschlossen sind. 

5. Microprozessorsystem nach emem oder mehre- 
ren der AnsprOche 1 bis 4, dadurch gekennzeichnet, 
daB zumindest die beiden Zentraleinheiten (1, 2), 
die Speicher (5, 6, 10, 11) und die Treiberstufen (15, 
16, 17), die den Zentraleinheiten ein gemeinsames 
Lesen der anstehenden Daten ermdglichen, und ein 
Vergleicher (18, 19) auf einem einzigen Chip ange- 
ordnet sind. 

6. Microprozessorsystem nach einem oder mehre- 
ren der AnsprOche 1 bis 5, dadurch gekennzeichnet, 
daB die beiden Bussysteme (3, 4) jeweils einen Da- 
ten- und Prufinformations-Bus (Dp), einen AdreB- 
bus (A) und emen Steuerbus (C) umfassen. 

7. Microprozessorsystem nach einem oder mehre- 
ren der AnsprOche 1 bis 6, dadurch gekennzeichnet, 
daB die Signale der beiden Zentraleinheiten (1, 2\ 
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namlich die Signalc auf den beiden Bussystemen (3, 
4), zwei parallel geschalteten Hardware- Verglei- 
chem (18, 19) zugefOhrt werden, die innerhalb eines 
Chips, jedoch rHumlich getrennt, angeordnet sind. 

8. Microprozessorsystem nach einem oder mehre- 5 
ren der Anspriichen 1 bis 7, dadurch gekennzeich- 
net, dafl an die Systeme (3» 4) mit einem extemen 
Vergleicher (22, 23, 24) Aktuatoren oder Ventile 
angeschlossen sind. 

9. Microprozessorsystem nach Anspruch 8, dadurch 10 
gekennzeichnet, daB der exteme Vergleicher (2) 
Ausgangsschieberegister (22, 23) aufweist, von de- 
nen eines (23) die Ausgangsdaten invertiert erhalt, 
daB die den beiden Schieberegister (22, 23) endial- 
tenen Daten Ciber ein UND-Gatter (24), das einen 15 
invertierten Eingang besitzt, verglichcn werden 
und daB das Ausgangssignal des UNDF-Gatters 
(24) einen Schalter (26) in der Stromversorgung fOr 
die Aktuatoren oder Ventile (25) geschlossen halt 

20 
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